MacOS Python Infostealers

Stručnjaci za kibernetičku sigurnost upozoravaju na brzo širenje napada krađe informacija izvan Microsoft Windowsa u ekosustave Apple macOS-a. Akteri prijetnji sve se više oslanjaju na višeplatformske jezike poput Pythona i zloupotrebljavaju pouzdane usluge i reklamne platforme za distribuciju zlonamjernog softvera u velikim razmjerima, značajno proširujući površinu napada.

Društveni inženjering potiče kampanje krađe informacija u macOS-u

Od kraja 2025. godine, više kampanja usmjereno je na korisnike macOS-a putem tehnika socijalnog inženjeringa, a najpoznatija je ClickFix. Ove operacije distribuiraju zlonamjerne instalacijske programe za slike diska (DMG) koji implementiraju poznate obitelji macOS infostealer programa, uključujući Atomic macOS Stealer (AMOS), MacSync i DigitStealer. Isporuka često ovisi o uvjeravanju korisnika da sami ručno pokrenu proces zaraze.

Zloupotreba izvornog macOS-a i prikrivena krađa podataka

Nakon što se izvrše, ove prijetnje često se oslanjaju na tehnike bez datoteka, izvorne macOS uslužne programe i AppleScript automatizaciju kako bi izbjegle otkrivanje i pojednostavnile prikupljanje podataka. Ukradene informacije obično uključuju vjerodajnice i podatke o sesiji pohranjene u pregledniku, osjetljive unose iz iCloud Keychaina i tajne povezane s programerima koje mogu omogućiti daljnje kompromitiranje.

Zlonamjerno oglašavanje kao početni vektor pristupa

Mnogi od ovih lanaca napada započinju zlonamjernim oglasima, često isporučenim putem Google oglasa. Korisnici koji traže legitimni softver, poput uslužnih programa DynamicLake ili alata za umjetnu inteligenciju, preusmjeravaju se na lažne web stranice. Te stranice koriste ClickFix mamce koji upućuju žrtve da slijede naredbe za kopiranje i lijepljenje ili upute za instalaciju, što rezultira samoinstaliranim postavljanjem zlonamjernog softvera.

Python kradljivci omogućuju brzu prilagodbu

Python-bazirani infostealeri posebno su privlačni napadačima zbog svoje fleksibilnosti i jednostavnosti ponovne upotrebe na različitim operativnim sustavima. Ove se prijetnje obično distribuiraju putem phishing e-poruka i osmišljene su za prikupljanje širokog raspona osjetljivih resursa, uključujući:

Vjerodajnice za prijavu, kolačići sesije, tokeni za autentifikaciju, podaci o kreditnoj kartici i podaci o kriptovalutnom novčaniku

Zloupotreba PXA programa za krađu i razmjenu poruka

Jedan značajan primjer je PXA Stealer, koji se pripisuje vijetnamskim govornicima prijetnji. Dokumentirane kampanje iz listopada i prosinca 2025. oslanjale su se na phishing e-poruke za početni pristup i koristile su ključeve registra Run ili zakazane zadatke kako bi održale postojanost. Telegram se koristio za komunikaciju zapovijedanja i kontrole te krađu podataka. Odvojeno, akteri prijetnji također su iskoristili kao oružje popularne platforme za razmjenu poruka poput WhatsAppa za distribuciju zlonamjernog softvera poput Eternidade Stealera, ciljajući financijske i kriptovalutne račune, kampanje javno otkrivene u studenom 2025.

SEO trovanje i lažni softver na Windowsima

Aktivnost kradljivaca informacija nije ograničena samo na macOS. Paralelne kampanje koristile su lažne PDF uređivače, poput Crystal PDF-a, koji se promoviraju putem zlonamjernog oglašavanja i trovanja optimizacijom tražilica. Ovi napadi usmjereni na Windows koriste kradljivce vjerodajnica sposobne za tiho izdvajanje kolačića, informacija o sesiji i predmemoriranih vjerodajnica iz Mozilla Firefoxa i Google Chromea.

Obrambene mjere protiv operacija krađe informacija

Kako bi se smanjila izloženost prijetnjama krađom informacija, organizacije se potiču na implementaciju višeslojne obrane i inicijativa za podizanje svijesti korisnika, uključujući:

• Obuka korisnika za prepoznavanje lanaca preusmjeravanja zlonamjernog oglašavanja, lažnih instalacijskih programa i upita u stilu ClickFixa
• Praćenje neuobičajenih aktivnosti Terminala, neovlaštenog pristupa iCloud Keychainu i sumnjivih odlaznih POST zahtjeva prema novoregistriranim ili anomalnim domenama

Utjecaj kompromitiranja kradljivca informacija na poslovanje

Uspješne infekcije kradljivcima informacija mogu imati dalekosežne posljedice. Ukradeni podaci o vjerodajnicama i podacima sesije mogu omogućiti kršenje podataka, neovlašteni pristup internim sustavima, kompromitiranje poslovne e-pošte, upade u lanac opskrbe i naknadne napade poput implementacije ransomwarea. Proaktivno otkrivanje i edukacija ostaju ključni za ograničavanje ovih rizika.